CVE-2026-24061

CVE-2026-24061 - GNU InetUtils telnetd: Authentifizierungsumgehung durch Argument-Injection

Die Versionen 1.9.3 bis 2.7 von GNU InetUtils weisen eine Schwachstelle im telnetd-Server auf, die eine Remote-Umgehung der Authentifizierung ermöglicht. Der telnetd-Daemon bereinigt die Umgebungsvariable USER nicht ordnungsgemäß, bevor er sie als Befehlszeilenargument an das Programm login(1) übergibt. Wenn ein Telnet-Client eine USER-Umgebungsvariable sendet, die Befehlszeilenflags (wie -f root) enthält, übergibt telnetd diesen ungereinigten Wert direkt an das Login-Programm. Das Login-Programm interpretiert das Flag -f als Anweisung, die Authentifizierung zu umgehen, wodurch ein Angreifer ohne Angabe von Anmeldedaten unbefugten Root-Zugriff erlangen kann.

Funktionen

• Vollständige Telnet-Protokollimplementierung

  • Verarbeitet die Verhandlungen von DO, DONT, WILL und WONT.
  • Unterstützt Subnegotiation-Parsing und Keepalive-Mechanismen.

• Automatische Payload-Injektion

  • Erstellt und sendet den manipulierten ENVIRON-Options-Payload mit der USER=-f root-Injektion.

• Interaktive Shell

  • Stellt eine bidirektionale interaktive Sitzung für die Befehlsausführung bereit.

• Verbindungsverwaltung

  • Implementiert Socket-Keepalive, Timeout-Behandlung und ein sauberes Beenden von Sitzungen.

• Ausführliches Debugging

  • Optionale Debug-Ausgabe für die Protokollanalyse und Fehlerbehebung.

Verwendung

python3 exploit.py <target> -p <port> [options]

Erforderliche Argumente

Optionale Argumente

Beispiele

Standard-Telnet-Port ausnutzen

python3 exploit.py 192.168.1.100

Benutzerdefinierten Port mit ausführlicher Ausgabe ausnutzen

python3 exploit.py 192.168.1.100 -p 2323 -v

Erweitertes Keepalive-Intervall für instabile Verbindungen verwenden

python3 exploit.py 10.0.0.5 -p 2323 -k 60 -t 10

Exploit-Ablauf

1. Verbindungsaufbau

   • Initiiert eine TCP-Verbindung mit geeigneten Socket-Optionen und Keepalive-Einstellungen.

2. Protokollverhandlung

   • Verarbeitet die Telnet-Optionsverhandlung (SGA, ECHO und ENVIRON).

3. Payload-Übermittlung

   • Sendet WILL ENVIRON gefolgt vom manipulierten Subnegotiation-Payload.

4. Authentifizierungsumgehung

   • Das Argument -f root wird in login(1) injiziert, um die Prüfung der Anmeldedaten zu umgehen.

5. Interaktive Sitzung

   • Bietet vollständigen bidirektionalen Shell-Zugriff mit Echtzeit-Befehlsausführung.

Technische Details

Der Exploit nutzt die Telnet-Option ENVIRON (RFC 1572), um Befehlszeilenargumente in die Umgebungsvariable USER zu injizieren.

Wenn telnetd diesen ungereinigten Wert an login -f root übergibt, interpretiert das Login-Programm -f als Flag, das die Authentifizierungsumgehung erzwingt und ohne Passwortprüfung Root-Zugriff gewährt.

Protokollverarbeitung

Das Exploit-Skript implementiert:

• IAC-Byte-Escaping (Interpret As Command)
• Subnegotiation-Parsing und -Erstellung
• Antworten zur Optionsverhandlung (WILL, WONT, DO, DONT)
• Keepalive-NOP-Befehle zur Aufrechterhaltung der Sitzungsstabilität

Beispielausgabe

$ python3 exploit.py 127.0.0.1 -p 2323

[!] Coded By: K3ysTr0K3R
[*] Telnet Authentication Bypass
[*] Connecting to 127.0.0.1:2323
[+] Connection established
[+] Exploit payload sent (19 bytes)

# id
uid=0(root) gid=0(root) groups=0(root)

# whoami
root

#

Voraussetzungen

• Python 3.7 oder neuer
• Keine externen Abhängigkeiten
• Verwendet ausschließlich die Python-Standardbibliothek

Erkennung und Gegenmaßnahmen

Systemadministratoren können Exploit-Versuche erkennen, indem sie auf Folgendes überwachen:

• Telnet-Verbindungen, die eine ENVIRON-Optionsverhandlung durchführen.
• USER-Umgebungsvariablen, die -f oder andere Befehlszeilenflags enthalten.
• Ereignisse zur Authentifizierungsumgehung in Systemprotokollen.

Gegenmaßnahmen

Aktualisieren Sie auf GNU InetUtils Version 2.8 oder wenden Sie den offiziellen Sicherheitspatch an, der Umgebungsvariablen bereinigt, bevor sie an login(1) übergeben werden.

Haftungsausschluss

Dieser Proof of Concept ist ausschließlich für Sicherheitsforschung, Schwachstellenvalidierung und autorisierte Testumgebungen bestimmt. Verwenden Sie ihn nur gegen Systeme, für die Sie ausdrücklich die Erlaubnis zur Durchführung von Sicherheitsbewertungen haben.